Secondo te quindi la soluzione
- file in cartella protetta con htaccess
- download file possibile solo previa verifica password, inviati al browser con il tuo script
potrebbe avere bug di sicurezza?
boh..... mi rimetto ai pareri degli altri utenti del forum....